CRA Scope Check
Due imprese su cinque che hanno sentito parlare del Cyber Resilience Act non hanno stabilito se si applica a loro, e la metà non distingue un fabbricante da un gestore di software open source. Quattro domande risolvono entrambe le cose, con l'articolo dietro ogni risposta.
La Sua situazione
Nulla di ciò che sceglie lascia questa pagina. È un albero decisionale basato sulle definizioni del regolamento, eseguito nel Suo browser.
Che cosa si applica a Lei
Art. 3(13): Lei sviluppa o fabbrica il prodotto, o lo fa fabbricare, e lo commercializza con il Suo nome o marchio, a pagamento o gratuitamente.
Un importatore o distributore che immette sul mercato un prodotto con il proprio nome o marchio, o che modifica in modo sostanziale un prodotto già immesso sul mercato, è considerato fabbricante ed è soggetto agli articoli 13 e 14.
- Dall'11 settembre 2026
- Segnali una vulnerabilità attivamente sfruttata o un incidente grave al Suo CSIRT coordinatore e a ENISA: preallarme entro 24 ore dalla presa di conoscenza, notifica entro 72 ore, relazione finale dopo la correzione (Art. 14, Art. 71(2)). Contano anche i prodotti immessi sul mercato prima di dicembre 2027 (Art. 69(3)).
- Dall'11 dicembre 2027
- I requisiti essenziali dell'allegato I, la documentazione tecnica, la valutazione della conformità e la marcatura CE (Art. 13).
- Sanzioni
- Un inadempimento degli articoli 13 o 14 rientra nella fascia più alta: fino a 15 milioni di euro o al 2,5 % del fatturato annuo mondiale (Art. 64(2)). Come microimpresa o piccola impresa non può essere sanzionata per un preallarme di 24 ore mancato (Art. 64(10)). L'obbligo di segnalare resta, come ogni altro obbligo.
Tre cose da fare questa settimana
- Si registri sulla ENISA Single Reporting Platform e designi un Primary Assigned Representative.
- Sappia che cosa contiene ogni prodotto: una SBOM per versione, conservata dove chi è di reperibilità può leggerla.
- Decida chi dichiara la presa di conoscenza e dove viene registrato il momento. L'orologio conta da quella decisione.
Art. 3, «importatore»: Lei è stabilito nell'UE e immette sul mercato un prodotto che reca il nome o il marchio di una persona stabilita fuori dell'UE.
I Suoi obblighi sono nell'articolo 19 e si applicano dall'11 dicembre 2027: immettere sul mercato solo prodotti conformi, verificare che il fabbricante abbia fatto la sua parte, conservare la documentazione e informare il fabbricante e le autorità di vigilanza del mercato quando viene a conoscenza di una vulnerabilità o di una non conformità.
L'obbligo di segnalazione dell'articolo 14 resta al fabbricante, a meno che Lei apponga il Suo nome sul prodotto o lo modifichi in modo sostanziale; allora diventa Suo (Art. 21).
Da chiedere oggi al Suo fabbricante: chi è il loro Assigned Representative sulla piattaforma ENISA, e come La avviseranno entro 24 ore?
Art. 3, «distributore»: Lei mette a disposizione un prodotto sul mercato dell'UE senza alterarne le proprietà e non ne è né il fabbricante né l'importatore.
I Suoi obblighi sono nell'articolo 20 e si applicano dall'11 dicembre 2027: verificare la marcatura CE e la documentazione prima di fornire il prodotto e informare il fabbricante o l'importatore e le autorità di vigilanza del mercato quando viene a conoscenza di una vulnerabilità o di una non conformità.
L'obbligo di segnalazione dell'articolo 14 resta al fabbricante, a meno che Lei apponga il Suo nome sul prodotto o lo modifichi in modo sostanziale; allora diventa Suo (Art. 21).
Da chiedere oggi al Suo fabbricante: chi è il loro Assigned Representative sulla piattaforma ENISA, e come La avviseranno entro 24 ore?
Art. 3(14): una persona giuridica, diversa da un fabbricante, che sostiene in modo sistematico e continuativo lo sviluppo di specifici prodotti open source destinati ad attività commerciali e ne garantisce la sostenibilità.
L'articolo 24 fissa i Suoi obblighi: una politica di cibersicurezza per il progetto, la cooperazione con le autorità di vigilanza del mercato e l'obbligo di segnalazione dell'articolo 14(1) nella misura in cui partecipa allo sviluppo (Art. 24(3)). I gestori non possono essere sanzionati (Art. 64(10)).
La data generale di applicazione è l'11 dicembre 2027; la piattaforma ENISA accetta già notifiche dai gestori. Un progetto monetizzato, o sviluppato da un'impresa nell'ambito della propria attività, rende quell'impresa un fabbricante.
Il regolamento copre i prodotti con elementi digitali (Art. 3(1)). Il software offerto solo come servizio non lo è, a meno che sia il trattamento remoto dei dati di cui un prodotto ha bisogno per svolgere una delle sue funzioni (Art. 3(2)); allora fa parte di quel prodotto e ne risponde il fabbricante del prodotto.
Al servizio in sé può applicarsi NIS2 (direttiva (UE) 2022/2555). È un'altra legge, con un altro regime di segnalazione.
Il regolamento si applica ai prodotti messi a disposizione nel corso di un'attività commerciale (Art. 3, «messa a disposizione sul mercato»). Sviluppare e pubblicare software open source senza monetizzarlo non lo è (considerando 18).
Diventa commerciale quando fa pagare il software o il suo supporto oltre la copertura dei costi, o quando un'impresa lo sviluppa nell'ambito della propria attività. Ripeta allora questa verifica come fabbricante.
L'articolo 2 lascia il prodotto alla norma che già lo copre: i dispositivi medici e medico-diagnostici in vitro dei regolamenti (UE) 2017/745 e 2017/746 (Art. 2(2)). i veicoli a motore omologati a norma del regolamento (UE) 2019/2144 (Art. 2(2)). i prodotti certificati a norma del regolamento (UE) 2018/1139 sull'aviazione civile (Art. 2(3)). l'equipaggiamento marittimo rientrante nella direttiva 2014/90/UE (Art. 2(4)). i pezzi di ricambio che sostituiscono componenti identici e sono fabbricati secondo la stessa specifica (Art. 2(6)). i prodotti sviluppati o modificati esclusivamente per la sicurezza nazionale o la difesa, o progettati per trattare informazioni classificate (Art. 2(7)).
Lo verifichi per linea di prodotto. Un dispositivo escluso accanto a un gateway o a un'app che non lo sono non porta il gateway o l'app fuori dall'ambito.
Non è consulenza legale. Ogni risposta cita il suo articolo del regolamento (UE) 2024/2847; legga l'articolo prima di agire. EUR-Lex · Legga la guida all'articolo 14
Perché questa è la domanda a cui la maggior parte delle imprese non ha risposto
41%
delle imprese che conoscono il CRA non ha stabilito se si applica a loro.
54%
stanno ancora chiarendo la differenza tra un fabbricante e un gestore di software open source.
66%
degli intervistati non conosce il regolamento, un anno dopo la sua entrata in vigore.
Fonte: Linux Foundation / OpenSSF, 2026 CRA Awareness and Readiness Report (giugno 2026, 843 intervistati)
Nell'ambito? Allora l'orologio corre già.
ExploitClock confronta le Sue SBOM con gli elenchi di vulnerabilità sfruttate ogni 15 minuti, avvia l'orologio delle 24 ore quando conferma la presa di conoscenza, redige la notifica ENISA nei campi stessi della piattaforma e conserva la prova.